A Coldcard voltou ao centro das atenções após um ataque que explora uma antiga vulnerabilidade em carteiras geradas por dispositivos afetados. Segundo a Galaxy Research, a campanha já comprometeu 4.585 endereços e resultou no roubo de 1.367 BTC, o equivalente a quase US$ 89 milhões.
A terceira onda do ataque foi identificada no início de domingo, depois que aproximadamente 208 BTC foram retirados de 1.912 endereços entre a tarde de sexta-feira e a manhã de sábado (UTC). Nesta etapa, o prejuízo médio por vítima caiu para pouco mais de 0,1 BTC, bem abaixo da primeira onda, registrada em 30 de julho, quando 1.083 BTC foram drenados de 1.196 endereços em apenas 41 minutos.
A Galaxy Research observou que o responsável também mudou a forma de movimentar os fundos na blockchain. Em vez de concentrar os bitcoins em poucos endereços, cada carteira comprometida agora envia os ativos para um destino diferente.
Os recursos ainda passam a ser armazenados em endereços do tipo pay-to-witness-script-hash (P2WSH), estrutura que permite funcionalidades como múltiplas assinaturas e bloqueios por tempo.
Coldcard: falha de 2021 continua sendo explorada
Outra mudança identificada foi na forma como as carteiras são varridas. O invasor passou a reunir, em média, seis vítimas por transação e agora verifica apenas o caminho de derivação padrão das seeds, em vez de testar diferentes ramificações da árvore de chaves.
De acordo com a Galaxy Research, a vulnerabilidade está ligada a uma versão de firmware da Coldcard lançada em março de 2021. Nessa versão, a geração das seeds utilizava um gerador de números aleatórios previsível via software, em vez da fonte de aleatoriedade por hardware.
Essa falha criou um conjunto limitado de chaves privadas possíveis. Com a vulnerabilidade conhecida e capacidade computacional suficiente, um atacante consegue reproduzir essas combinações offline, sem precisar acessar fisicamente o dispositivo.
A empresa afirma que há evidências de que cada uma das três ondas foi conduzida por um único operador, mas não é possível confirmar se todas fazem parte da mesma campanha ou se diferentes agentes estão explorando a mesma vulnerabilidade.
Mesmo após quase três dias desde o início da operação, os ataques continuam. Para a Galaxy Research, a redução no valor médio roubado por carteira indica que os endereços com maiores saldos dentro desse conjunto vulnerável provavelmente já foram esvaziados.
